Personne ne choisit Auto-Planning. Des millions d’automobilistes l’ont pourtant utilisé en réservant leur contrôle technique. Ce prestataire de prise de rendez-vous fait l’objet d’une cyberattaque revendiquée qui pourrait concerner près de 18 millions de personnes, selon FrenchBreaches. Les pirates exigent 33 333 dollars.
Un nom inconnu, des millions de fiches
Un nom, un prénom, un numéro de portable, une Fiat 500 immatriculée, un créneau un mardi matin dans un centre de banlieue. Prise isolément, chaque information paraît anodine. Réunies sur une même ligne, elles dessinent un profil exploitable. C’est exactement ce type de fiche que FrenchBreaches dit avoir trouvé dans les échantillons transmis par les auteurs d’une attaque contre Auto-Planning, révélée le 29 octobre par le média spécialisé.
Le grand public n’a jamais entendu parler de cette société française. Elle opère pourtant en coulisses de plus de 450 centres de contrôle technique, mais aussi de garages et d’auto-écoles, auxquels elle fournit agendas en ligne, modules de réservation, sites web et rappels par SMS. L’automobiliste pense réserver auprès de son centre Autosur ou Autovision. En réalité, ses données transitent par un tiers dont il ignore l’existence.
Avec des prestataires mutualisés, une seule brèche suffit à exposer les clients de centaines d’établissements à la fois. Les fichiers analysés par FrenchBreaches recensent 791 centres et 694 noms de domaine. Le plus représenté, TESA Autosur Clamart, totalise à lui seul plus de 262 000 rendez-vous actifs.
Dix-huit ans de données, et des mots de passe en MD5
Plus de 200 millions de lignes, près de 92 millions de rendez-vous, et des enregistrements remontant à 2008. Une accumulation de près de dix-huit années qui pose, en creux, la question de la durée de conservation des données chez ce type de prestataire.
Le détail technique le plus parlant concerne les mots de passe. D’après les éléments consultés par le média, 161 empreintes sur les 572 examinées auraient pu être retrouvées, et l’algorithme MD5 est signalé. Un choix risqué : la CNIL estime que MD5 “ne fait plus partie des algorithmes réputés forts”. Les identifiants ne constitueraient d’ailleurs qu’une partie du butin revendiqué : les attaquants affirment aussi détenir plus de 36 500 factures PDF, des archives pouvant contenir des RIB, des codes sources et des accès à certains services.
Les pirates, qui signent leur action « Operation GlassLodge », affirment contrôler plusieurs serveurs de réservation, de facturation et de publication web. Ils laissent 72 heures à l’entreprise pour payer, tout en lui proposant, avec un aplomb désormais habituel, de l’aider à colmater les failles exploitées.
Fausses amendes et vraies doublettes
Pour les automobilistes, le danger naît du croisement. Un nom, un numéro de portable et une plaque d’immatriculation réunis sur une même fiche suffisent à fabriquer une escroquerie crédible. Il est facile d’imaginer le faux SMS d’amende ANTAI (l’Agence nationale de traitement automatisé des infractions) reprenant la véritable plaque du véhicule, la fausse relance de l’ANTS (l’Agence Nationale des Titres Sécurisés) réclamant des frais de carte grise, ou encore le message invitant à régler un contrôle technique ou à confirmer un rendez-vous qui n’existe pas. Mais la combinaison plaque, marque et modèle ouvre aussi la voie à une fraude plus insidieuse : la doublette. Un fraudeur peut y puiser l’immatriculation d’un véhicule identique au sien et la copier sur sa propre voiture. Le titulaire légitime reçoit alors les avis de contravention, flashs et péages impayés d’un conducteur qu’il n’a jamais croisé, et doit ensuite prouver qu’il n’était pas au volant. Avec près de 14 millions de plaques potentiellement associées à leur modèle exact, le catalogue serait considérable. Reste enfin le risque physique : identifier les propriétaires de modèles convoités et, grâce aux adresses, localiser leur domicile en vue d’un vol ou d’un cambriolage.
Encore faut-il que la fuite soit à la hauteur de la revendication. Le média reste prudent, et c’est à souligner. Les 18 millions d’identités résultent d’une estimation après dédoublonnage, pas d’un décompte de victimes confirmé. La présence d’un centre dans les fichiers ne signifie pas que son site a été piraté. Les échantillons, conclut FrenchBreaches, ne suffisent pas à confirmer « l’exfiltration de l’intégralité des volumes annoncés ».
À la date de publication de cet article, aucune communication officielle d’Auto-Planning n’avait confirmé l’étendue de l’incident. Les centres clients et leurs millions d’usagers attendent désormais de savoir ce qui a réellement quitté les serveurs.
